feature-risikobewertung

Feature-Risikobewertung

Mandat-Kontext

Mandat-Kontext. ## Mandate-Workspaces in der praxisseitigen CLAUDE.md prüfen. Wenn Aktiviert ✗ ist (Standard für In-House-Nutzer), diesen Absatz überspringen. Wenn aktiviert und kein aktives Mandat, fragen: "Für welches Mandat ist das? /produktrecht:produktrecht-mandat-arbeitsbereich switch <kürzel> ausführen oder 'Praxisebene' sagen." Das aktive mandat.md für mandatsspezifischen Kontext laden. Ausgaben in den Mandat-Ordner schreiben. Niemals Dateien eines anderen Mandats lesen außer Mandats-übergreifender Kontext ist ein.

Zweck

Der Launch-Review ist breit. Dies ist tief. Wenn eine einzelne Frage mehr als eine Tabellenzeile braucht – ein neuartiges KI-Feature, ein Produkt für Minderjährige, etwas das ein Behörde aktiv beobachtet – erstellt dieser Skill eine eigenständige Bewertung.

Nicht jeder Launch braucht eine. Die meisten nicht. Dies ist für die 10% wo "DSFA fertig, geshippt" nicht das richtige Prüfungsniveau ist.

Eingaben

• Feature-Beschreibung oder PRD (eingefügt oder Tracker-Link)
• Anlass der Eskalation (was hat den Launch-Review ausgelöst dass dies eine tiefere Prüfung braucht)
• Anwendbare Jurisdiktionen und Nutzersegmente
• Bestehende Minderungsmaßnahmen die bereits umgesetzt sind

Wann dies ausführen

• Launch-Review fand ein Muster das nicht in der Kalibrierungstabelle ist (neuartig)
• Launch-Review fand etwas in der "blockiert normalerweise"-Kategorie
• GC oder Unternehmensleitung fragte "was ist das Risiko hier" und möchte mehr als eine Einzeiler
• Das Feature liegt in einem Bereich mit aktiver Regulierungsaufmerksamkeit (KI/KI-VO, Minderjährige, biometrisch, Gesundheit, Dark Patterns nach § 5 UWG)
• Jemand außerhalb der Rechtsabteilung ist besorgt und eine strukturierte Antwort wäre hilfreich

Wenn keines davon zutrifft, reicht der Launch-Review. Keine Dokumente um der Dokumente willen erstellen.

Ablauf

1. Was wird bewertet

Ein Absatz. Was das Feature tut, was neu daran ist, warum es zu einer vollständigen Bewertung eskaliert wurde.

2. Die Risiken

Für jedes einzelne Risiko (2–5, nicht 15):

### Risiko [N]: [Kurzname]

**Szenario:** [Was eintreten müsste damit dies schiefgeht. Konkret –
nicht "Datenschutzverletzung" sondern "der Empfehlungsalgorithmus zeigt dem
Nutzer die sensible Kategorie-Interesse eines anderen wegen X."]

**Wer wird geschädigt:** [Nutzer? Das Unternehmen? Ein Dritter? Konkret.]

**Wie wahrscheinlich:** [Gering / Mittel / Hoch – mit Begründung. "Gering – würde
erfordern dass sowohl X als auch Y gleichzeitig scheitern." Nicht nur ein
Bauchgefühl.]

**Wie schlimm wenn es passiert:** [Gering / Mittel / Hoch – mit Begründung.
"Hoch – behördliches Bußgeld (bis 4% Jahresumsatz, Art. 83 DSGVO) + Abmahnwelle
+ Presseschaden" vs. "Gering – eine Verbraucherbeschwerde, kein tatsächlicher
Schaden."]

**Bestehende Minderungen:** [Was bereits Wahrscheinlichkeit oder Auswirkung
reduziert]

**Lücke:** [Was fehlt, falls vorhanden]

**Restrisiko:** [Nach bestehenden Minderungen – akzeptabel oder braucht mehr?]

3. Regulierungslandschaft (falls relevant)

Nur einbeziehen wenn eine Behörde sich aktiv für diesen Bereich interessiert. Falls ja:

• Welche Behörde (BaFin, BKartA, Datenschutzbehörde, Bundesnetzagentur), was haben sie kürzlich gesagt/getan
• Wie dieses Feature aus ihrer Sicht aussehen würde
• Ob wir lieber wollen dass sie davon von uns hören oder aus einer Überschrift

Relevante deutsche Behörden und jüngste Prioritäten:

• BKartA: Dark Patterns nach § 19a GWB, Daten-Tying, Marktbeherrschungsmissbrauch digitaler Unternehmen; vgl. Sektoruntersuchung Online-Werbung 2023
• DSK / Datenschutzbehörden: DSGVO-Konformität Tracking, Cookie-Banner (vgl. DSK-Beschluss Cookie II, 2021), KI-gestützte Profilbildung
• BaFin: Finanzprodukte, BNPL-Features, Zahlungsdienste
• BZAW/Wettbewerbs-Verbände: UWG-Abmahnungen; vgl. Abmahnstatistik UWG-Forum
• EU-Kommission: DSA-Durchsetzung (VLOP-Status), DMA-Gatekeeper-Compliance
• EUAI-Behörde (AI Office): KI-VO-Vollzug ab 2025/2026

4. Präzedenz (falls vorhanden)

Hat ein anderes Unternehmen etwas Ähnliches gemacht? Was passierte?

Relevante Präzedenzfälle im deutschen Produktrecht:

• Rechtsprechung: keine Entscheidung aus Modellwissen zitieren; vor Ausgabe über offizielle oder frei zugängliche Quelle mit Gericht, Entscheidungsform, Datum, Aktenzeichen und tragender Aussage verifizieren.

Vorrang nicht überschätzen. Regulierungsbehörden ändern Prioritäten; dass ein Unternehmen damit durchgekommen ist bedeutet nicht dass das nächste es auch tut.

5. Optionen

2–3 realistische Wege präsentieren:

| Option | Beschreibung | Risikoreduzierung | Kosten |
|---|---|---|---|
| A: Wie geplant shippen | [aktueller Plan] | Keine | Keine |
| B: Mit [Minderung] shippen | [Änderung] | [wie viel] | [Entwicklungsaufwand, Timeline, UX] |
| C: [Komponente] nicht shippen | [Umfangskürzung] | [wie viel] | [Produktauswirkung] |

6. Empfehlung

Eine wählen. Erklären warum. Anerkennen was abgewogen wird.

**Empfohlen: Option [X]**

[Warum. Welches Risiko verbleibt. Warum das akzeptabel ist. Wer es akzeptiert.]

**Wenn die Antwort "nicht meine Entscheidung" ist:** [Wer entscheidet, was sie wissen müssen]

Kalibrierungscheck

Vor der Fertigstellung gegen ~/.claude/plugins/config/claude-fuer-deutsches-recht/produktrecht/CLAUDE.md → Risikokalibrierung prüfen:

• Ist diese Risikobewertung auf dieses Unternehmen kalibriert, oder ist sie generisch?
• Ein Risiko das bei einem Unternehmen unter einem Bußgeldbescheid "Hoch" ist könnte bei einem das es nicht ist "Mittel" sein
• Die Bewertung sollte die tatsächliche Regulierungsposition, Streithistorie und den Risikoappetit im Praxisprofil widerspiegeln

Besondere Prüfrahmen nach Rechtsgebiet

UWG-Risiko (§§ 3, 5, 5a, 5b, 7 UWG)

Prüfen:

• Könnte das Feature Verbraucher über wesentliche Merkmale irren? (§ 5 UWG)
• Rechtsprechung: keine Entscheidung aus Modellwissen zitieren; vor Ausgabe über offizielle oder frei zugängliche Quelle mit Gericht, Entscheidungsform, Datum, Aktenzeichen und tragender Aussage verifizieren.
• Werden wesentliche Informationen verschwiegen? (§ 5a UWG)
• Werden Verbraucher unzumutbar belästigt? (§ 7 UWG: unerwünschte E-Mail, Telefonwerbung, Push-Nachrichten)
• Vergleichende Werbung: objektiv, kein Anschwärzen, Vergleich wesentlicher Merkmale? (§ 6 UWG)

Leitkommentare: Köhler/Bornkamm/Feddersen UWG, 42. Aufl. 2024, § 5 Rn. 1 ff.; Harte-Bavendamm/Henning-Bodewig UWG, 5. Aufl. 2021.

DSGVO/TDDDG-Risiko

Prüfen:

• Neue Datenerhebung: Welche Rechtsgrundlage (Art. 6 DSGVO)? Einwilligung oder berechtigtes Interesse?
• Besondere Kategorien (Art. 9 DSGVO): Gesundheit, politische Meinung, sexuelle Orientierung – strenge Pflichten
• Profilbildung und automatisierte Entscheidungen: Art. 22 DSGVO wenn Entscheidungen automatisch und erheblich beeinträchtigend
• Cookies und Tracking: § 25 TDDDG (Einwilligung erforderlich für nicht-technisch-notwendige Cookies)
• Datenweitergabe an Dritte: AV-Vertrag (Art. 28 DSGVO), Drittlandtransfer (Art. 44 ff. DSGVO)
• Übergabe an: /datenschutzrecht:anwendungsfall-triage [Feature] wenn DSFA erforderlich

DSA-Risiko (VO (EU) 2022/2065)

Relevant für Plattformen, Marktplätze, sehr große Online-Plattformen (VLOP):

• Art. 26: Werbung-Transparenz (Kennzeichnungspflicht für Werbung, keine Targeting auf Minderjährige)
• Art. 27: Empfehlungssysteme (transparente Parameter, Opt-out-Option)
• Art. 28: Schutz von Minderjährigen (keine Profil-Werbung für Personen unter 18)
• Art. 17–18: Beschwerde- und Abhilfemechanismen für illegale Inhalte

Relevant bei: Empfehlungsalgorithmen, Nutzer-Targeting, Moderationsentscheidungen, Werbeanzeigen.

KI-VO-Risiko (VO (EU) 2024/1689)

Risikoklassifizierung zuerst:

| KI-Nutzung | Risikoklasse | Konsequenz | |---|---|---| | Biometrische Fernidentifikation | Verboten (ab 02.02